Il router dell'operatore non protegge la tua azienda da solo

6 agosto 2026 · 7 min di lettura

Quando arriva la fibra in ufficio, arriva anche l'apparato dell'operatore: una scatola con le antenne, qualche luce che lampeggia, appoggiata su uno scaffale o infilata dietro una scrivania. Fa il suo lavoro, la linea è su, si naviga, la posta arriva, i sistemi in cloud rispondono. Da quel momento, in molte aziende, la domanda "siamo protetti?" si considera implicitamente chiusa: se internet funziona, va bene così.

È un equivoco comprensibile, ma resta un equivoco, e vale la pena chiarirlo perché è proprio in quel margine di fraintendimento che nascono i problemi più comuni. Quell'apparato è stato progettato per un compito preciso: portare la connessione dal punto di consegna dell'operatore fino alla rete interna, instradare il traffico, poco altro. Non è stato progettato per difendere un'azienda da un attacco mirato, e tantomeno per accorgersi che sta succedendo qualcosa di anomalo mentre succede.

Cosa fa davvero quel router, e cosa si immagina che faccia

Il router fornito con la linea si occupa di terminare il circuito dell'operatore, assegnare gli indirizzi ai dispositivi della rete interna tramite DHCP, tradurre gli indirizzi privati in un indirizzo pubblico con il NAT, e instradare i pacchetti da una parte all'altra. È un compito di collegamento, non di controllo. Il NAT in particolare viene spesso scambiato per una misura di sicurezza, perché di fatto nasconde gli indirizzi interni dietro un unico indirizzo pubblico, ma è un effetto collaterale della traduzione degli indirizzi, non una politica di sicurezza pensata e verificabile.

Chi non lavora quotidianamente con le reti tende a immaginare che dentro quella scatola ci sia anche un controllo attivo del traffico, un filtro capace di distinguere quello che è lecito da quello che non lo è, magari qualcosa che tiene un registro di quello che entra ed esce. Nella maggior parte dei router da operatore non c'è niente di tutto questo, o c'è in una forma talmente ridotta da non reggere il confronto con quello che serve davvero a un'azienda, anche piccola.

Le credenziali di fabbrica, mai cambiate

Ogni router arriva con un nome utente e una password predefiniti, spesso stampati sull'etichetta sul retro dell'apparato o riportati nel manuale. Sono pensati per essere cambiati al primo accesso, ma in pratica restano quelli di fabbrica in una quantità di installazioni che definire "residuale" sarebbe ottimistico.

Il ragionamento che sento più spesso è "tanto chi vuole entrare proprio nella rete della mia azienda?", come se un'intrusione richiedesse sempre un bersaglio scelto con cura. Non funziona così la maggior parte dei casi. Esistono strumenti automatizzati che scandagliano interi blocchi di indirizzi pubblici, provano le credenziali di fabbrica più comuni una dopo l'altra, e segnalano quali apparati rispondono. Non c'è nessuna scelta dietro, nessuno ha deciso di prendere di mira quell'azienda in particolare: è capitata nella scansione, e la porta era aperta con la chiave che il produttore aveva già consegnato a tutti.

Il firmware fermo al giorno dell'installazione

Il firmware è il software che fa funzionare il router, e come ogni software ha bisogno di aggiornamenti: correggono errori di funzionamento, ma soprattutto chiudono le falle di sicurezza che via via vengono scoperte e rese pubbliche. Il problema è che quasi nessun router da operatore avvisa in modo chiaro quando un aggiornamento è disponibile, e ancora meno lo installano da soli in autonomia. Il risultato è un apparato fermo alla versione con cui è stato installato, magari anni prima, con tutte le vulnerabilità scoperte da allora ancora aperte.

Quando una falla di questo tipo viene resa pubblica, diventa pubblica anche la lista dei modelli e delle versioni di firmware interessate. A quel punto sfruttarla non richiede più competenze particolari: basta cercare quel modello specifico, verificare la versione esposta, e usare uno strumento già pronto che qualcun altro ha scritto. Un router mai aggiornato dal giorno dell'installazione è, di fatto, un catalogo di vulnerabilità note lasciato esposto su internet.

La gestione remota lasciata accesa

Molti router hanno un'interfaccia di amministrazione raggiungibile anche dal lato internet, oltre che dalla rete interna, per permettere all'operatore di intervenire da remoto in caso di assistenza. È una funzione comoda, e in certi contesti anche legittima, ma quando resta attiva per impostazione predefinita e senza restrizioni diventa un punto di accesso in più da difendere, esposto verso l'esterno esattamente come le credenziali di fabbrica di cui parlavo prima.

Chi installa quell'apparato raramente controlla se questa gestione remota sia attiva, perché non è un'impostazione che salta all'occhio durante la configurazione iniziale, e nessuno la va a cercare finché non succede qualcosa. Verificarla e disattivarla quando non serve è una delle operazioni più semplici da fare, ed è anche una delle più trascurate.

Le regole di inoltro create anni fa e mai più riviste

Quasi ogni rete aziendale che esiste da un po' di tempo porta con sé qualche regola di inoltro delle porte, quello che tecnicamente si chiama port forwarding, creata per una necessità puntuale: un vecchio gestionale che doveva essere raggiunto da fuori, una videocamera collegata prima che arrivasse un sistema più strutturato, un accesso remoto messo su in fretta per far lavorare qualcuno da casa durante un'emergenza. Quella necessità, con il tempo, passa. Il gestionale viene sostituito, la videocamera cambiata, la persona che lavorava da casa è tornata in ufficio da anni. La regola che apriva quella porta verso l'esterno, quasi sempre, resta.

Nessuno la rimuove perché nessuno se ne ricorda più, e togliere qualcosa che "magari serve ancora" fa sempre un po' paura quando non si sa esattamente a cosa serva. Il risultato è una rete che, nel corso degli anni, accumula porte aperte verso servizi che magari non esistono più, o che sono rimasti attivi ma dimenticati, senza che nessuno le controlli con una minima regolarità.

Un'unica rete per dipendenti, ospiti e dispositivi

Molte reti aziendali, soprattutto quelle di dimensioni piccole, girano su un'unica rete locale: gli stessi indirizzi, la stessa rete Wi-Fi, per i computer degli utenti, per gli ospiti che chiedono la password per il telefono, per le stampanti di rete, per le telecamere IP, per qualunque altro dispositivo collegato. Va tutto bene finché va tutto bene, ma il problema di una rete piatta di questo tipo emerge nel momento in cui uno solo di quei dispositivi viene compromesso.

Una telecamera IP con un firmware vecchio, una stampante con un'interfaccia di amministrazione mai protetta, un dispositivo di un ospite infetto: se sono sulla stessa rete di tutto il resto, chi riesce a comprometterli ha campo libero per muoversi verso i computer degli utenti, verso i server, verso qualunque altra cosa condivida quella stessa rete. Separare questi ambiti è un lavoro che richiede una progettazione dedicata, e non è mai qualcosa che un router da operatore offre in modo semplice da configurare bene.

Nessun registro di quello che succede

Un apparato pensato per un uso domestico o per un'installazione veloce non tiene, di norma, un registro utile di quello che attraversa la rete: chi ha provato ad accedere, da dove, quando, con quale esito. Se non succede niente, non se ne accorge nessuno. Ma se succede qualcosa, in assenza di questi registri diventa quasi impossibile ricostruire com'è iniziato l'incidente, da dove sia arrivato, cosa sia stato toccato nel frattempo.

È una mancanza che si nota sempre nel momento peggiore, cioè dopo, quando servirebbe rispondere a domande precise e l'unica risposta disponibile è che non esiste traccia di niente. Vale anche per chi si trova a dover documentare un incidente per obblighi contrattuali: senza registri consultabili, non c'è molto da mostrare.

Cosa serve davvero

Il punto non è sostituire il router dell'operatore, che continua a fare bene quello per cui è nato: portare la connessione fino in azienda. Il punto è non fermarsi lì. Tra quel router e la rete interna serve un apparato dedicato alla sicurezza perimetrale, con regole scritte su misura per come lavora davvero quell'azienda e non per un consumatore medio, capace di separare le reti di dipendenti, ospiti e dispositivi, di tenere un registro consultabile di quello che succede, e di essere aggiornato con regolarità da chi se ne occupa attivamente, invece di restare fermo alla configurazione del giorno dell'installazione.

Di questo mi occupo quando lavoro sulla parte di sicurezza e infrastruttura cloud dei miei clienti: non aggiungere complessità per il gusto di farlo, ma mettere tra la rete aziendale e internet un punto di controllo progettato su misura e mantenuto nel tempo, al posto di un apparato configurato una volta e mai più guardato.

Un perimetro ben progettato, però, non basta se poi quello che c'è dietro, firewall compreso, non viene mai aggiornato. Di come si organizza un aggiornamento fatto con criterio, senza lasciare niente indietro, parlo nel prossimo articolo della serie: aggiornamenti programmati, il lavoro noioso che evita i disastri.